Вирус, который не увидит AVP!
Xakep Online -> Журнал, номер #012, стр. 012-034-1
Roman Hady
Здарова, дружище! Что такой грустный? Последний троян, которого ты забросил, обнаружили еще в посылке? И весь задуманный план мести полетел к черту? Пиши свой! Что, неужели так трудно? Скачай ViriiLab, которых пруд пруди в Сети, и клепай своих. Все равно ловят? И правильно - не так-то просто написать хороший вирь. Да еще и обычные антивирусные сканеры превратились во что-то вообще непотребное - эвристики. Ох уж эти антивирусисты - вечно-то они что-нибудь придумают, чтобы испортить жизнь таким, как мы. Ну да ничего, мы тоже не на васике писаны :). Давай разбираться, как устроены эти их супер-пупер навороченные программы, "использующие методы эвристического анализа".
Немного теории
Кстати, страшное слово "эвристика" обозначает "теорию и практику организации избирательного поиска при решении сложных интеллектуальных задач. Эвристические программы отличаются от программ систематического поиска ( которые ведь не так сложно надуть, а? ), поскольку они содержат критерии ограничения поиска в пространстве большого количества возможностей и не гарантируют решение задач." Последняя фраза из словаря означает, что у нас всегда есть шанс придумать такой вирус, который не будет найден. Осталось только найти способ. Но ведь цель оправдывает средства, не так ли?
Именно с этой мыслью и головной болью (от не слишком удачного вчерашнего вечера) я принялся за анализ горячо любимого всеми вирмейкерами AVP и не менее любимого DrWeb. А для пущей убедительности взял код "стороннего" производителя - вирь из пакета, сродни VirriLab. Некто Nowhere Man (популярная личность, кстати) накодил его на ассемблере много-много лет назад (штамм 1992(c)) и назвал он свое детище нерукотворное - CodeZero. Довольно примитивный вирь, надо сказать. И хотя использует шифрование собственного тела, от AVP и DrWeb это его не спасает.
Итак, скомпилировал я его, прошелся по нему AVP - тот заорал так, как будто ему за это премии дают. Прошелся DrWeb`ом - оба оказались навороченными шкафами и выжить несчастному CodeZero не дали.
Написание собственного вируса что называется с нуля тоже принесло мало толка - возомнив себя бодибилдерами с правами ОМОНа, AVP и DrWeb растерзали моего несчастного паразита в один момент. Невинно убиенный стал последней каплей, переполнившей чашу моего терпения.
Основная инфа
Итак, начнем-с. Многие антивирусы, реализующие функции эвристического анализа (вроде AVP и DrWeb) в лучшем случае являются декодерами части команд процессора. То есть выдирают по одной команде из exe-шника и смотрят в заранее подготовленный (еще на стадии создания самого антивируса) "черный список". Если в списке такая команда (а обычно не одна, а несколько - участок кода, например, вызов какого-то прерывания c определенными значениями) присутствует, то программе добавляют "балл". Как только баллов больше чем обычно - орут благим матом о подозрительном коде. Конечно, у каждого эвристика (то есть его автора) свое мнение о "подозрительных" командах, которые могут принадлежать паразитам. Но, в основном, это обращения к прерываниям (особенно 21h - чтение и запись в файл), всякого рода махинации с таблицей векторов, блоками памяти "ручным способом" (то есть с помощью корявых рук вирмейкера). Иногда сюда добавляются команды, которые могут использоваться для расшифровки самомодифицирующихся вирусов и вирусов, кодирующих себя. Как это, видимо, и произошло в случае CodeZero и моего несчастного дитяти.
